Einen Befund lesen

Ein Befund hat vier mögliche Ausgänge. Angezeigt wird er an zwei Stellen: als Überschrift der Ergebniskarte und als Statuskennzeichen im Kopf der Asset-Ansicht, und als Siegel auf der Kachel in der Bibliothek, die in der Seitenleiste „Library“ heißt.

Die vier Ausgänge

Auf dem Ergebnis und im Asset-Kopf	Auf der Kachel in der Bibliothek	Was es heißt
Content Credentials geprüft	Verifiziert	Gültig und der Aussteller steht auf der anerkannten Liste. Herkunft und Bearbeitungshistorie sind kryptografisch bestätigt
Signiert · Aussteller unbekannt	Nicht vertrauenswürdig	Gültig, aber der Aussteller ist nicht auf der Liste. Die Angaben lassen sich nicht verlässlich bestätigen — kein Beweis für Manipulation, aber auch keine Bestätigung
Content Credentials fehlerhaft	Fehlerhaft	Content Credentials sind vorhanden, aber nicht gültig, etwa weil sie nicht dem C2PA-Standard entsprechen. Das allein heißt nicht, dass die Datei verändert wurde
Nach dem Signieren verändert	Fehlerhaft	Die Datei oder ihre Content Credentials wurden nach dem Signieren verändert
Ohne Content Credentials	Ohne Nachweis	Die Datei trägt keine Content Credentials. Das ist kein Mangel — die meisten Dateien tragen keine
Content Credentials nicht abrufbar	Ohne Nachweis	Die Datei verweist auf Content Credentials auf einem externen Server, die sich nicht abrufen ließen

Dieselbe Datei trägt auf der Ergebniskarte „Signiert · Aussteller unbekannt“ und auf ihrer Kachel „Nicht vertrauenswürdig“.

„Nicht vertrauenswürdig“ sagt, dass der Unterzeichner nicht auf der Liste steht. Über die Datei selbst sagt es nichts, in keine Richtung.

Die drei Zustände vor dem Befund

Vor dem Befund kennt die Kachel drei Zustände:

„Ausstehend“ — hochgeladen, aber noch nicht geprüft. Die Prüfung lässt sich über das Kachelmenü oder den Editor starten.
„Verify läuft …“ — die Prüfung läuft im Hintergrund; der Status aktualisiert sich von selbst. Auch bei geschlossenem Tab wird sie zu Ende geführt.
„Verify fehlgeschlagen“ — die Prüfung konnte nicht abgeschlossen werden. Erneut versuchen ist hier der richtige Griff.

Im Kopf der Asset-Ansicht fallen die drei zu einem einzigen Statuskennzeichen zusammen: „Nicht verifiziert“. Es liegt dann noch kein Befund vor. Welcher der drei Zustände dahintersteckt, sagt das Siegel auf der Kachel.

„Nicht verifiziert“ und „Nicht vertrauenswürdig“ sind zweierlei: Das eine heißt, dass die Prüfung noch aussteht, das andere ist ein fertiger Befund über den Aussteller.

„Ausstehend“ und „Ohne Nachweis“

„Ausstehend“ heißt: noch nicht geprüft. Es fehlt ein Ergebnis.

„Ohne Nachweis“ heißt: geprüft, und die Datei trägt keine Content Credentials. Das ist ein abgeschlossenes Ergebnis; erneutes Prüfen ändert daran nichts.

Das Kachelmenü bietet die Prüfung darum nur bei „Ausstehend“ und bei „Verify fehlgeschlagen“ an — und auch dort nur, solange die Originaldatei noch vorliegt. Ist sie nach Ablauf der Aufbewahrungsfrist gelöscht, entfällt der Eintrag ebenfalls.

Die Ergebniskarte

Auf der Seite „Prüfen“ steht das Ergebnis als Überschrift, darunter ein Satz, was es heißt. Daneben stehen drei Prüfpunkte, jeder mit Haken, Warnzeichen, Kreuz oder Strich und einem Satz dazu:

„Seit der Signatur unverändert“ — passen die Inhalte der Datei noch zu ihrer Signatur?
„Entspricht dem C2PA-Standard“ — sind die Content Credentials so aufgebaut, wie der Standard es verlangt?
„Aussteller auf der Trust-Liste“ — ist das Zertifikat gültig, und steht der Unterzeichner auf der offiziellen Liste?

Ein Strich heißt „nicht bestätigt“: Die Frage ließ sich nicht beantworten, etwa weil die Vertrauensprüfung nicht stattgefunden hat. Ein Vorwurf an die Datei ist das nicht.

Darunter folgt der Abschnitt „Content Credentials“. Liegt die Datei schon in deiner Bibliothek, steht dort zuerst eine Zeile mit Link auf das Asset (siehe Schnellprüfung). Dann die Angaben aus den Content Credentials: Signiert von, Erstellt mit, Signiert am und die inhaltliche Einstufung als Quelle. Ein Satz darunter sagt, wessen Angaben das sind und was davon geprüft wurde. Sind die Content Credentials nicht gültig, steht bei „Quelle“ „nicht übernommen“.

Am Ende stehen drei Reiter: „Herkunftskette“ und „Bearbeitungsschritte“ (siehe Herkunftskette und Bestandteile) und „Technische Details“ mit den Prüfcodes, der Prüfsumme SHA-256, der Größe, der Seriennummer des Zertifikats und dem Knopf „Manifest herunterladen“.

„Fehlerhaft“ heißt nicht „manipuliert“. Content Credentials können ungültig sein, obwohl die Datei unverändert ist: Manche Programme schreiben sie nicht so, wie der C2PA-Standard es verlangt, und tragen zum Beispiel zwei direkte Vorgänger ein, wo einer erlaubt ist. Passen dagegen die Inhalte nicht mehr zur Signatur, heißt das Ergebnis „Nach dem Signieren verändert“. Was genau nicht stimmt, sagen die Prüfpunkte und die Herkunftskette in Worten; die Prüfcodes stehen unter „Technische Details“.

Verweist eine Datei auf Content Credentials in der Cloud, ruft verstag sie ab und prüft die Datei dagegen. Gelingt das nicht, steht im Abschnitt „Content Credentials“ der Hinweis „Herkunftskette nicht abrufbar“.

Bemerkt wird eine Veränderung nur an einer Datei, die ihre Content Credentials behält. Werden sie beim Bearbeiten entfernt — was viele Werkzeuge beiläufig tun —, ist die Datei von einer, die nie welche hatte, nicht zu unterscheiden.

Gültig heißt noch nicht anerkannt

Die ersten beiden Prüfpunkte sagen: Die Signatur ist unversehrt, und die Content Credentials sind wohlgeformt. Mehr nicht. Auch ein selbstsigniertes Manifest besteht beide — jeder kann eines erzeugen.

Die Vertrauensfrage beantwortet der dritte Prüfpunkt, mit einem zweiten Durchlauf gegen die offizielle Liste anerkannter Aussteller und Zeitstempeldienste. Nur ein ausdrücklich positives Signal führt zu „Verifiziert“; fehlt es, gilt die Datei als nicht vertrauenswürdig — auch dann, wenn der Durchlauf gar nicht stattgefunden hat.

Was die Sätze des dritten Prüfpunkts bedeuten, steht unter Die sechs Hinweisstufen.

„Von verstag signiert“

Unter dem Ergebnis kann ein Kennzeichen stehen: „Von verstag signiert“. Es heißt, dass verstag das aktuelle Manifest dieser Datei erstellt und signiert hat.

Das Kennzeichen erscheint für Dateien jedes verstag-Kunden, nicht nur für die deines Arbeitsbereichs, und es sagt nur, wer das aktuelle Manifest erzeugt hat. Voraussetzung ist außerdem, dass die Content Credentials gültig sind.

Das Statuskennzeichen „KI-Quelle“

Neben dem Befund kann ein zweites Statuskennzeichen stehen: „KI-Quelle“. Es erscheint bei genau zwei Angaben aus der Datei — „Mit generativer KI erzeugt“ und „Mit generativer KI bearbeitet“.

Die Angabe stammt aus der Datei selbst und wird beim Import übernommen; verstag erfindet sie nie. Ihr Fehlen ist keine Aussage über die Entstehung — die meisten Dateien tragen sie nicht.